🇰🇷 한글 설명
Kubernetes API 서버의 watch-cache 구현에서 접근 제어가 불충분하여 발생하는 취약점입니다. Red Hat OpenShift Enterprise 3.2의 다중 테넌트 환경에서 인증된 사용자가 다른 프로젝트의 이름을 알면 해당 프로젝트의 민감한 정보와 사용자 정보를 조회할 수 있습니다. 이는 프로젝트 간 격리 정책을 우회합니다.
💡 쉬운 설명
로그인한 사용자가 다른 팀의 프로젝트 이름만 알면 그 팀의 민감 정보를 볼 수 있는 보안 결함입니다. 쿠버네티스 감시 기능의 캐시에서 접근 권한 검사가 제대로 되지 않기 때문입니다.
🇺🇸 원문 (English)
The API server in Kubernetes, as used in Red Hat OpenShift Enterprise 3.2, in a multi tenant environment allows remote authenticated users with knowledge of other project names to obtain sensitive project and user information via vectors related to the watch-cache list.
📍 영향받는 시스템
Kubernetes API 서버, Red Hat OpenShift Enterprise 3.2 이하
⚔️ 공격 벡터
인증된 사용자가 watch API 엔드포인트를 통해 다른 프로젝트의 캐시된 리소스 객체에 접근
🛡️ 대응 방법
Kubernetes/OpenShift를 3.3 이상으로 업그레이드하거나 watch-cache 접근 제어 패치 적용
🔧 검증 코드
3.2 이하 버전이 설치되어 있으면 취약함; 3.3 이상이거나 패키지가 없으면 안전
rpm -qa | grep -i atomic-openshift | grep -E '3\.[0-2]'